目录一. TeslaCrypt 特斯拉来袭... 3 二. 特斯拉恶意样本技术分析特斯拉恶意样本基本情况传播方式技术分析反静态分析与检测反动态检测技术

Size: px

Start display at page:

Download "目录一. TeslaCrypt 特斯拉来袭... 3 二. 特斯拉恶意样本技术分析特斯拉恶意样本基本情况传播方式技术分析反静态分析与检测反动态检测技术"

斛尹
5 years ago
Views:

1 2016 年 5 月 Tesla Crypt 特斯拉恶意样本分析新解启明星辰 VenusEye 安全团队威胁检测全面呈现

2 目录一. TeslaCrypt 特斯拉来袭... 3 二. 特斯拉恶意样本技术分析特斯拉恶意样本基本情况传播方式技术分析反静态分析与检测反动态检测技术破坏除系统目录以及程序目录下的以下扩展名的文件 : 加密文件机制分析还原文件解密过程 C&C 通讯三. 关于 VenusEye 团队... 18

3 一. TeslaCrypt 特斯拉来袭是的, 这个恶意样本就叫 Tesla Crypt, 中文名 : 特斯拉, 与特斯拉汽车同名今年 3 月以来, 中国用户深受 Locky 密锁变种攻击袭扰, 特斯拉 TeslaCrypt4.0 和 TeslaCrypt4.1 是其中两个重要的变种, 由于其加密方式完全不同, 因此, 具有单独分析的价值需要说明的是, 我们无法对市场上 TeslaCrypt 的分析思路做出评价, 但我们认为, 用户有必要看到特斯拉恶意样本的真实情况特斯拉恶意样本, 包括了大量反沙箱检测技术反静态检测技术, 加密手段更加复杂, 与 Locky 密锁病毒包含的技术手段不同我们也注意到, 有分析结论将该恶意样本的加密算法判定为使用 RSA-4096 算法对文件进行加密, 但经过我们深度分析确认, 该样本使用的是 AES CBC 模式来加密文件, 这样不同的结论就好比, 如果警察破案被错误的证据所引导, 那将在破案的道路上越行越远特斯拉恶意样本, 它以鱼叉攻击方式为主, 裹携到邮件附件中批量发送, 对目标设备网络进行攻击该类恶意样本与密锁 (Locky) 病毒达到的攻击效果一样, 一旦中招后, 硬盘中的所有办公文档备份文件数据库文件等都将全部被深度加密, 文件无法直接访问该样本, 使用 AES CBC 模式加密文件, 其加密密钥被多重加密, 并有一个唯一的私钥, 保存在黑客手中我们完全掌握了该样本的加密机制我们建议, 那些使用邮件作为信息交互手段的用户, 对邮件附件保持高度警惕那些以工资报销等字样的主题和邮件附件, 不要随意打开为了帮助用户规避特斯拉恶意样本攻击的困扰, 我们推出客户关怀计划, 如您遇到袭扰, 可发送邮件至 venuseye@venusgroup.com.cn 寻求帮助

4 二. 特斯拉恶意样本技术分析 2.1 特斯拉恶意样本基本情况传播方式 TeslaCrypt 4.1 和之前的 Locky 传播方式相同, 采取邮件方式进行传播, 通过大量发送带有压缩包附件的邮件进行传播, 附件中大多为一个或多个加密混淆过的 JS 文件,JS 文件运行后会去特定网站下载 TeslaCrypt 敲诈者的母体程序技术分析截止到 2016 年 5 月 12 日, 我们共截获到余个 TeslaCrpyt 的相关样本, 其中余个为母体可执行文件, 其余多为下载 TeslaCrpyt 母体的脚本文件目前我们发现的最新版本为 TeslaCrypt 4.1 版本下面我们以该版本的某个样本为例进行分析样本 MD5 f70e3fa30ce4a6a3604b9ad3ae79a5e4 文件大小 392,192 字节文件格式 PEEXE 时间戳 :42:10 数字签名无加壳类型未知编译语言 C/C++

5 反静态分析与检测 1. 病毒使用代码混淆并加入大量无效 API 调用等方式对抗杀软的静态以及启发式检测

6 2. 对于 API 的调用采取了随用随解密获取的方式 3. 使用了很多非常规的函数和跳转, 干扰分析

7 4. 隐藏真正的核心代码, 通过 Shellcode 将最后的核心代码解密并部署到内存中真正的入口点真正的核心代码入口点如下 : 反动态检测技术 1. 样本使用 COM+ 沙箱逃逸技术检测沙箱, 样本通过检测 URLReader2 接口的方式检测是否为沙箱如果被检测到在沙箱环境中运行, 则退出进程

8 2. 检测包含以下名称的进程是否存在 :taskmg,regedi,msconfi,cmd,procex, 如果存在, 则将其结束

2.1.2.3 破坏除系统目录以及程序目录下的以下扩展名的文件 : 2.1.2.4 加密文件机制分析 TeslaCrypt 尽管提示受害是用了 RSA4096 加密算法, 但却是在误导受害者和分析人员事实上,TeslaCrypt 实际上是使用 AES CBC 模式来加密文件 TeslaCrypt4.

9 破坏除系统目录以及程序目录下的以下扩展名的文件 : 加密文件机制分析 TeslaCrypt 尽管提示受害是用了 RSA4096 加密算法, 但却是在误导受害者和分析人员事实上,TeslaCrypt 实际上是使用 AES CBC 模式来加密文件 TeslaCrypt4.1 会生成 32 字节的密钥作为 AES CBC 模式加密文件的 Key, 但是该 Key 不会保存下来而是对其进行 AES CBC 模式加密后再保存因此这就需要另外一个 Key 了, 为描述方便, 称之为 Key 而 Key 是利用 secp256k1_ecdh 算法计算出来的, 并保存到被加密的文件里样本使用 secp256k1( 标准椭圆曲线算法 ) 来生成多个 Key, 并保存在 Application data 目录下名为的 system.bin 文件里这些 Key 作为 secp256k1_ecdh 的参数来生成 Key

与 Key 相关的参数 key 主要有以下几种 master_btc_priv,master_btc_pub, master_btc_hash_priv,master_btc_hash_pub,malware_pub,malware_priv 这里首先科普下 secp256k1_ecdh 算法, 就是利用两对公私钥来生成一个相同的密钥对如下两对密钥 : 私钥 privkeya, 公钥

10 与 Key 相关的参数 key 主要有以下几种 master_btc_priv,master_btc_pub, master_btc_hash_priv,master_btc_hash_pub,malware_pub,malware_priv 这里首先科普下 secp256k1_ecdh 算法, 就是利用两对公私钥来生成一个相同的密钥对如下两对密钥 : 私钥 privkeya, 公钥 pubkeya 私钥 privkeyb, 公钥 pubkeyb 则密钥 secretkey 计算公式如下 : secretkey = secp256k1_ecdh(pubkeya,privkeyb) = secp256k1_ecdh(pubkeyb,privkeya) 其中两组公钥 pubkeya, 和 pubkeyb 是可以公开的, 在不知道私钥 privkeya 和 privkeyb 的情况下, 无法求出密钥 secretkey (secp256k1 算法参见 : 1. master_btc_priv 的生成首先, 样本会生成 32 字节的随机数作为私钥, 这里我们称之为 master_btc_priv 生成的 master_btc_priv 如下 : 2. master_btc_hash_priv 的生成如下 : 通过计算上面生成的 master_btc_priv 的 sha256 哈希值, 生成 master_btc_hash_priv, 3. master_btc_hash_pub 的生成通过调用 secp256k1_ec_pubkey_create 和 secp256k1_ec_pubkey_serialize 函数来生成 master_btc_hash_priv 对应的公钥 master_btc_hash_pub

master_btc_pub 如下 : 但从样本代码看,master_btc_pub 用来生成比特币地址, 未参与 Key 的生成 5.

11 公钥 master_btc_hash_pub 如下 : 4. master_btc_pub 的生成继续求 master_btc_priv 对应的公钥 master_btc_pub, 结果保存在 ebp-f0 处求得公钥 master_btc_pub 如下 : 但从样本代码看,master_btc_pub 用来生成比特币地址, 未参与 Key 的生成 5. 对 master_btc_priv 的处理样本接下来将利用 AES CBC 模式加密之前生成的私钥 master_btc_priv, 其使用的加密密钥是由 secp256k1_ecdh 算法计算得来, 具体的是由另外两个密钥 malware_pub, master_key_priv 通过公式 secp256k1_ecdh(malware_pub, master_key_priv) 计算而来

5.1 malware_pub 的由来那么 malware_pub 公钥从哪来?

malware_priv, 该私钥我们无法得知, 公钥 malware_pub 则嵌入在了样本里 5.

12 5.1 malware_pub 的由来那么 malware_pub 公钥从哪来? 经过分析得知, 攻击者事先生成了私钥 malware_priv, 然后利用 secp256k1_ecdh 算法生成 malware_pub 攻击者那里保存着私钥 malware_priv, 该私钥我们无法得知, 公钥 malware_pub 则嵌入在了样本里 5.2 master_key_priv 的由来之后在 EncryptPrivKey 函数里, 样本又生成了新的私钥 master_key_priv 私钥 master_key_priv 如下 : 5.3 生成加密 master_btc_priv 需要的 Key 之后利用公开的 malware_pub 和生成的 master_key_priv 协商出一份密钥 master_ecdh_secret, 即 master_ecdh_secret=secp256k1_ecdh(malware_pub, master_key_priv); 并利用生成出来的 master_ecdh_secret 使用 AES CBC 模式加密存储了 master_btc_priv

bin 以及加密文件里而这个公钥会通过 C&C 通道加密发送给黑客攻击者接收了公钥 master_key_pub 之后, 当然也可以求出 master_ecdh_secret( 加密 master_btc_priv 使用的密钥 ), 即 : master_ecdh_secret =

13 5.4 加密 master_btc_priv 把协商出来的 master_ecdh_secret 设置为 AES CBC 加密的 Key 利用 AES CBC 模式, 对 master_btc_priv 加密, 加密结果也保存在 system.bin 以及加密文件里 master_btc_priv 经过 AES 加密, 结果如下 : 6. 生成 master_key_pub 随后根据 master_key_priv 计算出对应的公钥 master_key_pub, 此公钥会保存在 system.bin 以及加密文件里而这个公钥会通过 C&C 通道加密发送给黑客攻击者接收了公钥 master_key_pub 之后, 当然也可以求出 master_ecdh_secret( 加密 master_btc_priv 使用的密钥 ), 即 : master_ecdh_secret = secp256k1_ecdh(master_key_pub,malware_priv)// 攻击者计算公式 =secp256k1_ecdh(malware_pub, master_key_priv)// 样本计算公式 7. session_priv 前面其实都是铺垫, 真正用于加密文件的 Key 是 session_priv TeslaCrypt4.1 在每次运行都会重新生成加密文件使用的 key, 如同不同的会话一样

算法生成一个 session_ecdh_secret 并用这个 session_ecdh_secret 作为 AES CBC 模式加密的密钥加密 session_priv

14 生成的私钥 session_priv 如下 : 7.1 加密 session_priv 之后样本用之前生成的 master_btc_hash_pub 和一个新生成的 session_key_priv, 并调用 secp256k1 算法生成一个 session_ecdh_secret 并用这个 session_ecdh_secret 作为 AES CBC 模式加密的密钥加密 session_priv session_ecdh_secret = secp256k1(master_btc_hash_pub, session_key_priv); 新生成的 session_key_priv 如下 : 最终生成的 session_ecdh_secret 如下 : 把协商出来的 session_ecdh_secret 设置为 AES Key

15 对 session_priv 进行 AES CBC 加密 session_priv 加密结果如下 : 7.2 生成 session_key_pub 根据已经生成的 session_key_priv 计算出对应的公钥 session_key_pub, 并保存到 system.bin 文件以及加密文件里 : 下面总结下样本产生的各种 Key 以及它们的用途 : master_key_priv: 样本随机生成, 未保存 master_key_pub: 根据 master_key_priv 生成, 保存在 system.bin 里, 通过 C&C 通道发给攻击者, 可用来还原 master_ecdh_secret malware_priv: 攻击者生成并保存, 受害者以及分析人员无法获得 malware_pub: 攻击者生成, 嵌入在样本里, 可公开 master_btc_priv:32 字节的随机数, 未保存 master_btc_pub: 即 master_btc_priv 对应的公钥, 未参与加密, 用来生成比特币地址系 master_btc_hash_priv:32 字节的随机数, 未保存, 但可通过 sha256(master_btc_priv) 计算得来 master_btc_hash_pub: 即 master_btc_hash_priv 对应的公钥, 保存在 sytem.bin 文件和加密文件里 session_priv:32 字节的随机数, 用来最终加密文件的 AES Key, 未保存 session_key_priv: 随机生成, 未保存 session_key_pub: 根据 session_key_priv 生成, 保存在 system.bin 和加密文件里

master_ecdh_secret: 在用 AES CBC 加密 master_btc_priv 时使用的 Key session_ecdh_secret: 在用 AES CBC 加密 session_priv 时使用的 key 2.1.2.5 还原文件解密过程下面我们尝试还原下解密文件的过程前面已经提到,TeslaCrypt 4.

16 master_ecdh_secret: 在用 AES CBC 加密 master_btc_priv 时使用的 Key session_ecdh_secret: 在用 AES CBC 加密 session_priv 时使用的 key 还原文件解密过程下面我们尝试还原下解密文件的过程前面已经提到,TeslaCrypt 4.1 把各种 Key 都保存在了被加密文件的头部以及 system.bin 文件中, 详细信息见下图 : 要解密文件, 必须知道 C&C 服务器上的私钥 malware_priv, 即样本里嵌入的公钥 malware_pub 所对应的私钥如果知道了 malware_priv, 那么解密步骤如下 : 1. 从加密文件里读取 master_key_pub, 计算 master_ecdh_secret 的值公式如下 : master_ecdh_secret = secp256k1_ecdh(master_key_pub, malware_priv); 2. 从加密文件里读取 master_btc_priv 的 AES 加密值, 用 master_ecdh_secret 作为 AES Key, 解密出 master_btc_priv 3. 计算 master_btc_hash_priv = sha265(master_btc_priv); 4. 从加密文件里读取 session_key_pub, 计算 session_ecdh_secret 的值, 公式如下 : session_ecdh_secret= secp256k1_ecdh (session_key_pub, master_btc_hash_priv); 5. 从加密文件里读取 session_priv 加密值, 用 session_ecdh_secret 作为 AES Key, 解密出 session_priv session_priv 即是用来解密文件的 AES Key 6. 从加密文件里读取 AES CBC 模式的向量 iv, 即可利用 session_priv 解密文件

2.1.2.6 C&C 通讯 1. 样本初始化过程中会将已经加密的 C&C 网址解密出来 2.

17 C&C 通讯 1. 样本初始化过程中会将已经加密的 C&C 网址解密出来 2. 然后依次连接之前解密的 C&C 服务器, 直到连接成功, 并按照如下格式发送数据 Sub=( 命令 )&dh=(master_key_pub)&addr=%s&size=( 未知 )&version=( 病毒版本信息 )&OS=( 操作系统信息 )&ID=( 硬编码, 未知 )&inst_id=( 随机值,system.bin 文件中的前 8 字节 )

三. 关于 VenusEye 团队 VenusEye 安全团队是启明星辰集团检测产品本部专业数据分析组织, 主要职责是对现有产品搜集上报的安全事件样本数据进行挖掘分析, 并向用户提供专业分析报告该组织会依据数据产生的威胁情报, 对其中采用的各种攻防技术做深入的跟踪和分析, 并且给出专业的分析结果

18 三. 关于 VenusEye 团队 VenusEye 安全团队是启明星辰集团检测产品本部专业数据分析组织, 主要职责是对现有产品搜集上报的安全事件样本数据进行挖掘分析, 并向用户提供专业分析报告该组织会依据数据产生的威胁情报, 对其中采用的各种攻防技术做深入的跟踪和分析, 并且给出专业的分析结果提出专业建议, 为用户决策提供帮助 VenusEye 安全团队成立至今, 先后发布了海德薇 Hedwig 黑客组织分析报告 Locky 密锁攻击恶意样本分析报告无需担心潜藏了 18 年的微软浏览器远程代码执行漏洞 SandWorm( 以下简称 : 沙虫 ) 攻击分析报告等十多份专业安全分析报告, 欢迎下载查阅

目录一. 前言... 3 二. 多种应对措施可供选择天阗 APT 检测系统, 精确检测 Locky 密锁敲诈勒索攻击天清入侵防御系统, 精确阻断 Locky 密锁敲诈勒索攻击 FlowEye 系统, 发现 Locky 密锁敲诈勒索攻击...

目录一. 前言... 3 二. 多种应对措施可供选择天阗 APT 检测系统, 精确检测 Locky 密锁敲诈勒索攻击天清入侵防御系统, 精确阻断 Locky 密锁敲诈勒索攻击 FlowEye 系统, 发现 Locky 密锁敲诈勒索攻击... 2016 年 3 月 Locky 密锁敲诈勒索攻击样本分析通告 VenusEye 安全团队网络威胁全面检测目录一. 前言... 3 二. 多种应对措施可供选择... 4 2.1 天阗 APT 检测系统, 精确检测 Locky 密锁敲诈勒索攻击... 4 2.2 天清入侵防御系统, 精确阻断 Locky 密锁敲诈勒索攻击... 5 2.3 FlowEye 系统, 发现 Locky 密锁敲诈勒索攻击...

目录 一. TeslaCrypt 特斯拉来袭... 3 二. 特斯拉恶意样本技术分析 特斯拉恶意样本基本情况 传播方式 技术分析 反静态分析与检测 反动态检测技术

目录一. TeslaCrypt 特斯拉来袭... 3 二. 特斯拉恶意样本技术分析特斯拉恶意样本基本情况传播方式技术分析反静态分析与检测反动态检测技术